币圈界报道：

Coinbase供应商遭入侵：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨披露，其合作供应商在近期遭遇信息安全事件，部分用户的电子邮箱与手机号码被非法获取。尽管相关数据已流出，但账户密码、私钥、交易记录及资产余额均未遭到任何侵入，且交易所系统内部未检测到异常登录行为。

供应链漏洞成新威胁：非直接攻击，却带来真实风险

此次事件并非针对区块链网络或交易所核心系统的攻击，而是典型的第三方服务提供商数据泄露案例。攻击路径绕过交易所自身防线，通过分析工具服务商Amplitude的数据存储环节实现信息外泄。此类模式正日益普遍，成为企业级数据安全的新痛点。

泄露范围存疑：官方称“少量”，第三方指超七万条

Coinbase表示受影响用户数量有限，但未公布具体数字。与此同时，区块链安全机构SlowMist声称已核实一份涉及超过7万个账户的联系信息数据集，但未确认是否包含敏感凭证。目前双方说法存在显著差距，尚无独立验证，事件规模仍处于不确定状态。

关键区别：联系信息≠账户权限，防御策略需重构

与传统密码泄露不同，此次泄露的是“可达性”而非“访问权”。即便更换密码也无法消除风险，因为攻击者可利用已知邮箱和号码精准发起钓鱼式通信。这使得社会工程攻击具备极高可信度，用户极易被诱导提供助记词、验证码等关键信息。

Amplitude未公开通报：状态页面无相关警报

公众试图通过Amplitude官方状态页核查事件进展时，发现该平台仅列出10月24日至27日的技术中断与维护记录，并未提及安全事件。唯一相关的公告为10月22日关于PHP漏洞的声明，但未明确与本次泄露有关联。因此，当前所有信息均来自Coinbase单方面披露，缺乏供应商侧的独立佐证。

法律义务驱动响应：GDPR框架下的合规流程启动

由于服务覆盖欧盟市场，此次事件受《通用数据保护条例》（GDPR）约束。Coinbase已履行72小时内向监管机构报告的义务，并通过电子邮件向受影响用户发送通知。根据法规，若评估认为对个人权利构成高风险，则必须主动告知。尽管如此，责任主体仍为交易所本身，即使问题源自供应商。

双重验证机制应对升级：短信代码最脆弱，通行密钥更安全

在联系信息暴露的背景下，双因素认证形式的选择至关重要。短信验证码因依赖移动运营商而易受SIM卡劫持攻击；身份验证器应用虽能抵御此类型攻击，但仍可能被仿冒登录页面诱骗输入。相比之下，通行密钥具备抗钓鱼能力，其绑定真实域名，伪造网站无法触发有效验证，是当前最可靠的第二因子。

自我托管：脱离中心化风险的关键路径

对于长期持有者而言，将部分资产转移至自我托管环境可彻底规避交易所供应商层面的风险。硬件钱包将私钥隔离于专用芯片中，即使设备接入网络也不会泄露密钥。然而，这也意味着密钥丢失即永久损失，需建立完善的备份与恢复机制。

防范未来接触：警惕主动联络，拒绝任何索取凭证请求

用户应保持高度警觉，预期在未来数周内收到提及此次事件的邮件或电话。真正的客户服务不会主动致电施压，更不会要求提供助记词、一次性验证码或转账至指定地址。任何此类请求均为欺诈信号，切勿点击链接或执行操作，应通过官方渠道核实信息。